Sicherheit.

Lücke melden

Schreiben Sie uns an [email protected] mit dem Betreff „Sicherheitslücke“. Sie können auf Deutsch oder Englisch schreiben.

Wir bieten derzeit keine verschlüsselte Übermittlung (PGP) an. Bitte schicken Sie deshalb keine Zugangsdaten und keine personenbezogenen Daten Dritter mit. Beschreiben Sie stattdessen, wo und wie sich diese erreichen lassen.

Was in die Meldung gehört

• Die betroffene Adresse oder der betroffene Dienst, zum Beispiel eine URL
• Eine Beschreibung der Lücke und ihrer möglichen Auswirkung
• Die Schritte, mit denen wir sie nachvollziehen können, gern mit Screenshot oder kurzem Proof of Concept
• Eine Möglichkeit, Sie bei Rückfragen zu erreichen (die Absenderadresse genügt)

Was wir zusagen

• Wir bestätigen den Eingang Ihrer Meldung.
• Wir leiten keine rechtlichen Schritte gegen Sie ein, wenn Sie in gutem Glauben handeln und sich an diese Seite halten.

Worum wir Sie bitten

• Behandeln Sie Einzelheiten zur Lücke vertraulich, bis wir sie beheben konnten.
• Geben Sie uns angemessen Zeit für die Behebung, bevor Sie etwas veröffentlichen, und sprechen Sie den Zeitpunkt vorher mit uns ab.
• Brechen Sie Ihre Tests ab, sobald die Lücke belegt ist, und greifen Sie nicht weiter auf Daten zu, als dafür nötig ist.

Was nicht im Rahmen liegt

• Angriffe, die den Betrieb stören, etwa Denial-of-Service oder Lasttests
• Social Engineering gegen Mitarbeitende, Kundschaft oder Dienstleister, einschließlich Phishing
• Spam und automatisierte Massenmeldungen, etwa ungeprüfte Scanner-Ausgaben ohne nachvollziehbare Lücke
• Systeme Dritter, zum Beispiel die Websites unserer Kunden oder die Dienste unserer Dienstleister. Wenden Sie sich in diesem Fall bitte an den jeweiligen Betreiber.

Wir betreiben kein Bug-Bounty-Programm. Mit einer Meldung ist keine Vergütung verbunden.

Diese Angaben stehen auch maschinenlesbar als security.txt bereit (RFC 9116).

Stand: Oktober 2026